Politique de confidentialité

1. Responsable de traitement

Le responsable du traitement des données collectées via le site et l'application Prosio est : Salama Forever SRL (marque commerciale « Prosio »), siège social rue du Bon Pasteur 54/1, 1140 Evere (Bruxelles), Belgique, immatriculée à la BCE sous le numéro BE 0711.688.802.

Lorsque Prosio agit en qualité de sous-traitant pour le compte d'un client (concession, groupe automobile), c'est ce client qui est responsable du traitement des données prospects qu'il importe et exploite dans l'application. Les obligations respectives sont alors régies par l'accord de traitement (DPA) conclu avec le client.

2. Contact protection des données

Point de contact unique pour toute demande relative aux données personnelles : contact@prosio.be.

Toute demande est traitée dans un délai d'un mois conformément à l'article 12 du RGPD, prolongeable de deux mois en cas de demande complexe (avec notification motivée à la personne concernée).

3. Champ d'application

La présente politique s'applique :

— au site vitrine prosio.be (pages publiques et formulaires de contact) ; — à l'application Prosio accessible sur authentification ; — aux échanges avec les équipes Prosio (commerciale, support, sécurité, DPO).

Elle ne couvre pas les sites tiers vers lesquels Prosio peut renvoyer par lien hypertexte.

4. Catégories de données collectées

Données d’identification professionnelle : nom, prénom, civilité, fonction, employeur, adresse email professionnelle et numéro de téléphone professionnel.

Données de compte et d’authentification : identifiant, authentification gérée par Supabase, préférences de langue et d’apparence, fuseau horaire. Les jetons des comptes Google ou Microsoft associés sont chiffrés par l’application avec AES-256-GCM avant stockage.

Données techniques : informations de session, journaux produits par les services configurés et état de coordination des synchronisations.

Données métier saisies, importées ou reçues : entreprises, contacts, offres, véhicules et configurations, brouillons, messages, réponses associées aux conversations CRM, signatures, notes, rendez-vous et fichiers. Lors d’un aperçu Google demandé, l’application consulte les métadonnées Gmail et les événements Agenda autorisés.

Prosio est destiné aux informations commerciales professionnelles. N’y saisissez pas de données sensibles sans avoir défini avec votre organisation un cadre de traitement approprié.

5. Sources des données

Directement auprès de l’utilisateur : création de compte, saisie, import de fichiers CSV/XLSX et association d’un compte Google ou Microsoft.

Auprès du client employeur : provisionnement des comptes, données importées et accès configurés.

Auprès des services connectés : aperçus Google demandés et réponses aux conversations CRM, selon les fonctions activées et les autorisations accordées. L’identification à Prosio ne suffit pas à autoriser l’accès à une boîte mail ; une connexion de messagerie séparée est requise.

Les services d’hébergement et d’authentification produisent également des informations techniques de session et de journalisation.

6. Finalités du traitement

Fournir le service : authentification, données commerciales, suivi des échanges, tâches, rendez-vous et aperçus des comptes connectés. Les fonctions activées permettent de préparer des messages, d’envoyer ceux que l’utilisateur confirme et de récupérer les réponses associées aux conversations CRM pour actualiser leur suivi et les relances prévues.

Gérer les demandes commerciales, la relation contractuelle et le support ; protéger le service et répondre aux obligations applicables. Les données client ne doivent pas être réutilisées pour une nouvelle finalité sans cadre juridique et information adaptés.

7. Bases légales (article 6 RGPD)

La base légale doit correspondre à chaque finalité et à la personne concernée : exécution d’un contrat lorsque cette personne en est partie, obligation légale, intérêt légitime évalué ou consentement lorsque requis. L’employeur client détermine et documente la base des traitements de ses contacts dans le CRM.

L’autorisation technique OAuth de Google ou Microsoft n’est pas, à elle seule, un consentement RGPD à tous les traitements de messagerie. Le client doit informer les utilisateurs et les contacts concernés et vérifier les règles applicables aux communications commerciales. Le caractère B2B d’un contact ne dispense pas de ces obligations.

8. Durées de conservation

Les données de compte sont conservées pour fournir le service pendant la relation active, puis uniquement pour les finalités et délais justifiés par les obligations applicables ou la défense de droits. Les durées exactes doivent être communiquées dans les documents du service avant l’utilisation avec des données réelles.

Pour les données CRM, le client définit les règles d’archivage et de suppression dans ses instructions et le DPA. Les durées des journaux et sauvegardes dépendent des services activés. Cette page n’atteste pas une purge automatique ni un export complet à la fin du contrat.

Retirer une connexion Google ou Microsoft supprime les jetons enregistrés dans Prosio ; cela ne supprime ni les données déjà importées dans le CRM, ni les messages chez le fournisseur. Révoquez aussi l’autorisation chez ce fournisseur.

9. Destinataires

Au sein de Salama Forever SRL : équipes produit, support, sécurité, comptabilité, dans la limite du besoin d'en connaître.

Auprès du client employeur : les administrateurs et utilisateurs autorisés accèdent aux données selon leur rôle et leur périmètre de concessions. Ces accès reposent sur des contrôles applicatifs et des règles de base de données.

Auprès des sous-traitants : voir la rubrique 10.

Auprès des autorités publiques : sur réquisition judiciaire belge ou européenne fondée sur une base légale.

Prosio ne vend ni ne loue de données à caractère personnel à des tiers.

10. Sous-traitants

Vercel héberge le site de production prosio.be. Supabase fournit les services de base de données et d’authentification utilisés par l’application. Les éventuels services de fichiers, d’emails transactionnels et d’orchestration dépendent des fonctions activées.

Selon les connexions activées, Google et Microsoft fournissent l’authentification et les services de messagerie. Une boîte autorisée peut envoyer les messages confirmés depuis Prosio et récupérer les réponses aux conversations CRM connues, à la demande ou périodiquement selon les fonctions activées. Les aperçus Gmail et Agenda sont séparés. Sans boîte associée, l’envoi utilise le workflow métier configuré ; aucun basculement silencieux n’est effectué après une tentative d’envoi.

Les workflows n8n configurés peuvent recourir à un service d’envoi et à un fournisseur d’IA, tel qu’Anthropic, pour préparer un brouillon. Le contexte transmis peut contenir des coordonnées professionnelles et le contenu des échanges. Les conditions de traitement, de conservation et d’utilisation des données par ces fournisseurs doivent être vérifiées pour le service effectivement souscrit ; aucune rétention nulle n’est présumée.

La liste des prestataires effectivement utilisés, leurs régions et les garanties applicables sont à préciser dans les documents de service et le DPA de l’environnement concerné. Les modalités contractuelles de notification et d’opposition restent celles du DPA applicable.

11. Transferts internationaux

Les régions de traitement et les éventuels transferts dépendent des fournisseurs effectivement activés et de leurs conditions. Ils doivent être identifiés pour l’environnement du Client ; une implantation européenne du fournisseur ne suffit pas à garantir l’absence de transfert.

Les transferts hors de l’Espace économique européen doivent être encadrés selon le chapitre V du RGPD, par exemple par une décision d’adéquation ou des garanties appropriées telles que des clauses contractuelles types, avec les mesures supplémentaires nécessaires selon le cas. Les pays, les mécanismes applicables et les moyens d’obtenir les garanties doivent être précisés dans la documentation du service. Cette page ne prouve pas que cette documentation a été finalisée pour votre environnement.

12. Mesures de sécurité

Prosio utilise une authentification et des contrôles d’accès selon le rôle et le périmètre de concession. Les jetons de connexion aux services de messagerie sont chiffrés par l’application avant leur stockage. La page Sécurité précise ces mécanismes et les éléments dépendant de la configuration de l’hébergement. Les garanties contractuelles applicables figurent dans les documents convenus avec le client.

13. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

— accès à vos données et obtention d'une copie ; — rectification des données inexactes ; — effacement (« droit à l'oubli ») lorsque les conditions sont réunies ; — limitation du traitement en cas de contestation de l'exactitude des données ; — portabilité des données fournies dans un format structuré et lisible par machine ; — opposition au traitement fondé sur l'intérêt légitime ou la prospection ; — retrait du consentement à tout moment lorsque le traitement est fondé sur ce dernier ; — ne pas faire l'objet d'une décision exclusivement automatisée produisant des effets juridiques.

14. Exercice de vos droits

Toute demande peut être adressée à contact@prosio.be ou par courrier à Salama Forever SRL, rue du Bon Pasteur 54/1, 1140 Evere (Bruxelles). Pour les données gérées par votre organisation dans le CRM, celle-ci reste responsable du traitement ; Prosio peut lui transmettre la demande pour qu’elle y réponde avec l’assistance prévue.

Des informations complémentaires nécessaires pour confirmer l’identité ne peuvent être demandées qu’en cas de doutes raisonnables, conformément à l’article 12.6 du RGPD.

Le RGPD prévoit une réponse dans un délai d’un mois à compter de la réception, avec prolongation possible de deux mois selon la complexité et le nombre de demandes, en informant la personne et en motivant la prolongation dans le premier mois. Les droits s’exercent selon leurs conditions d’application ; les demandes manifestement infondées ou excessives peuvent relever des exceptions prévues par le RGPD.

15. Réclamation auprès d'une autorité de contrôle

Vous avez le droit d'introduire une réclamation auprès de l'Autorité de protection des données belge :

Autorité de protection des données (APD) Rue de la Presse 35, 1000 Bruxelles Tél. : +32 (0)2 274 48 00 contact@apd-gba.be autoriteprotectiondonnees.be

Vous pouvez également saisir l'autorité de contrôle de votre lieu de résidence ou de travail habituel.

16. Décisions automatisées et profilage

Prosio utilise les informations commerciales disponibles pour proposer des priorités et des prochaines actions. Les workflows d’assistance IA configurés peuvent recevoir du contexte commercial, notamment le contenu d’échanges, pour préparer des brouillons. Les résultats peuvent être inexacts ; l’utilisateur doit les vérifier avant de s’y fier ou d’envoyer un message.

Ces fonctions ne doivent pas servir à prendre seules une décision produisant des effets juridiques ou affectant une personne de façon similaire. L’usage d’un fournisseur d’IA, les données transmises et ses conditions de conservation doivent être documentés. Un logo, une signature ou un chiffre public ne suffisent pas à confirmer l’identité, le mandat ou la solvabilité d’un contact.

Comptes connectés : Microsoft Entra et Google

La connexion à Prosio par Microsoft Entra ou Google identifie l’utilisateur via Supabase. Elle n’autorise pas automatiquement l’accès à sa boîte mail.

La connexion Microsoft 365 séparée demande openid, profile, email, offline_access, Mail.Send et Mail.ReadWrite en mode délégué. Prosio crée un brouillon traçable, puis l’envoie après confirmation du destinataire, du compte expéditeur et du contenu. Mail.ReadWrite sert à créer le brouillon et à lire les réponses des conversations CRM. Aucun accès au calendrier Microsoft n’est demandé. La politique du tenant peut exiger une validation par IT.

Le choix « Connecter Gmail au CRM » demande gmail.send et gmail.readonly, avec openid et email. Les choix d’aperçu séparés demandent gmail.metadata et/ou calendar.events.readonly et affichent au maximum 10 messages ou 10 événements, sans importer cet aperçu.

La récupération des réponses concerne uniquement les conversations de messages CRM dont l’envoi est confirmé et les contacts associés. Elle peut être demandée par l’utilisateur ou exécutée périodiquement, pour les boîtes connectées ayant les droits de lecture nécessaires. Les passages traitent des lots allant jusqu’à 20 messages CRM confirmés, normalement sur les 90 derniers jours ou lorsqu’un suivi reste en attente. Les réponses identifiées sont copiées dans le CRM pour mettre à jour le suivi ; il ne s’agit pas de lire ou d’importer toute la boîte, ni de lancer automatiquement une analyse IA.

Le navigateur peut effectuer des contrôles toutes les 5 minutes pendant que Prosio est ouvert et visible. Si l’exploitant active le traitement planifié côté serveur, celui-ci peut fonctionner sans navigateur ouvert, avec une fréquence cible de 5 minutes. Son exécution dépend de l’activation de l’infrastructure, des autorisations et de la disponibilité des fournisseurs ; ce n’est pas une garantie de réception immédiate.

Le compte, les permissions et les jetons chiffrés sont conservés pour la connexion. Retirer la connexion dans Prosio arrête les accès futurs utilisant ses jetons enregistrés ; une révocation chez le fournisseur peut aussi interrompre les accès. Le retrait n’efface pas les messages et données déjà enregistrés. Ces opérations sont distinctes de la suppression des données CRM.

17. Protection des mineurs

Prosio est un service B2B destiné aux professionnels majeurs dans l’exercice de leur activité. Le service ne s’adresse pas aux mineurs. Si des données concernant un mineur y ont été enregistrées, contactez contact@prosio.be afin que la situation soit examinée et que les mesures appropriées soient prises avec le responsable du traitement.

18. Modifications de la politique

La présente politique peut être modifiée pour refléter les évolutions du service et des obligations applicables. La date en tête de page indique sa dernière révision. Les changements nécessitant une information particulière ou un nouveau consentement doivent être portés à la connaissance des personnes concernées selon les règles applicables ; cette page n’atteste pas un mécanisme automatique de notification par email.